Integritetspolicy för Zizrs Shopify-app

Ikraftträdandedatum: 21 maj 2026
Senast uppdaterad: 21 maj 2026
Gäller för: Handlare som installerar Zizrs Shopify-app och dessa handlares slutkunder i webbutiken (”Slutkunder”).

Om översättningen: Detta dokument är en svensk översättning av det engelska originalet. Vid avvikelser mellan översättningen och den engelska versionen har den engelska versionen företräde.

Sammanfattning på klarspråk (inte bindande):
Zizr hjälper Slutkunder att välja rätt storlek och hjälper butiker att förstå passform och returer. Vi får åtkomst till order- och produktdata samt begränsade kunddata från Shopify för att driva appen, och agerar då som handlarens personuppgiftsbiträde. Vi erbjuder även Slutkunder ett valfritt Zizr ID-konto, där Slutkunden kan spara preferenser och återanvända en gemensam passformshistorik i de butiker som har installerat Zizr. När du avinstallerar appen, eller när vi tar emot Shopifys raderingswebhookar, raderar eller avidentifierar vi dina butiksspecifika personuppgifter. Vi kan behålla aggregerade eller avidentifierade analysdata för att förbättra våra algoritmer. Inom Europeiska ekonomiska samarbetsområdet och i Storbritannien kräver vissa funktioner samtycke. I Kalifornien och andra amerikanska delstater har du möjlighet att avböja (opt-out) ”försäljning” eller ”delning” samt riktad annonsering.

Observera: Denna policy är avsedd som information och utgör inte juridisk rådgivning. Handlare förblir ansvariga för sina egna integritetsmeddelanden gentemot Slutkunder.

Innehållsförteckning

1. Vilka vi är och policyns omfattning
2. Våra roller: personuppgiftsbiträde och personuppgiftsansvarig
3. Uppgifter vi samlar in
4. Hur vi använder uppgifter (ändamål och rättsliga grunder)
5. Automatiserade beslut och profilering
6. Lagring av uppgifter
7. Delning av uppgifter och underbiträden
8. Överföringar till tredjeland
9. Säkerhet
10. Dina integritetsrättigheter
11. Information enligt CPRA och amerikanska delstaters integritetslagar
12. Cookies och SDK:er i webbutiker
13. Barns uppgifter
14. Handlarens ansvar
15. Webhookar som Shopify kräver
16. Ändringar av denna policy
17. Kontakt

1. Vilka vi är och policyns omfattning

Zizr AS (”Zizr”, ”vi”, ”oss”), organisationsnummer 922 796 556, med registrerad adress Dronningens gate 38, 7011 Trondheim, Norge, är ett norskt bolag som är etablerat inom Europeiska ekonomiska samarbetsområdet (EES). Vi tillhandahåller en Shopify-app som levererar personliga storleksrekommendationer, FitBack (strukturerad återkoppling om passform och returer efter köp), returanalys, det valfria Zizr ID-kontot och tillhörande infrastrukturfunktioner såsom normalisering av produktdata, Findr och stöd för cirkularitet.

Denna policy förklarar hur vi behandlar handlares butiksdata och Slutkunders personuppgifter som inhämtas via Shopifys API:er och integrationer i webbutiken när vår app är installerad i en handlares butik. Den förklarar också hur vi behandlar Slutkunders personuppgifter när en Slutkund frivilligt har skapat ett Zizr ID-konto.

2. Våra roller: personuppgiftsbiträde och personuppgiftsansvarig

Vi agerar i olika egenskaper beroende på vilken behandling det gäller. Skillnaden har betydelse för dina lagstadgade rättigheter och för hur begäranden hanteras.

a) Personuppgiftsbiträde åt handlaren (standardläge). När en Slutkund inte är inloggad på ett Zizr ID-konto behandlar vi personuppgifter som kommer från Shopify (inklusive order, produkter och begränsade kunddata) för handlarens räkning för att leverera de avtalade appfunktionerna. I denna egenskap är handlaren personuppgiftsansvarig och vi följer handlarens dokumenterade instruktioner. Vi kombinerar inte identifierbara uppgifter om Slutkunder mellan olika handlare i detta standardläge. Villkoren för detta förhållande anges i vårt personuppgiftsbiträdesavtal (Biträdesavtalet), tillgängligt på https://www.zizr.com/legal/sv/dpa.

b) Självständigt personuppgiftsansvarig för Zizr ID-konton (opt-in-läge). Zizr ID är ett valfritt konto som en Slutkund frivilligt kan skapa direkt hos Zizr. När Slutkunden loggar in på Zizr ID hos en handlare som har installerat Zizr-appen använder Zizr Slutkundens butiksöverskridande köp- och passformshistorik under detta Zizr ID för att ge mer träffsäkra storleksrekommendationer i den butiken. De uppgifter som delas till Zizr ID-profilen omfattar Slutkundens e-postadress och Shopifys kundidentifierare (som används som matchningsnyckel mellan butiker), köpta produkter, priser, inköpsdatum och returstatus.

För Zizr ID-kontot och den butiksöverskridande användningen av Zizr ID-uppgifter är Zizr personuppgiftsansvarig, med Slutkundens samtycke och avtal som rättslig grund enligt artikel 6.1 a och b i GDPR. Handlare är inte personuppgiftsansvariga för denna butiksöverskridande behandling. Tjänsten Zizr ID regleras av separata användarvillkor för Zizr ID och ett integritetsmeddelande för Zizr ID som Slutkunden godkänner när kontot skapas.

c) Självständigt personuppgiftsansvarig för begränsade operativa ändamål. Vi agerar också som självständigt personuppgiftsansvarig för följande snävt avgränsade ändamål:

• Säkerhet och förebyggande av bedrägerier, inklusive upptäckt av missbruk av tjänsten.
• Produktanalys och förbättring av algoritmer med hjälp av pseudonymiserade eller aggregerade uppgifter med lämpliga skyddsåtgärder.
• Benchmarking och forskning och utveckling avseende infrastruktur med hjälp av avidentifierade uppgifter som inte rimligen identifierar en viss person eller butik.

Sammanfattning av användningen av uppgifter mellan handlare. I standardläget (utan Zizr ID) hålls varje handlares Kundpersonuppgifter logiskt åtskilda och används endast för att betjäna den handlaren. Användning av identifierbara uppgifter om Slutkunder mellan olika handlare förekommer endast när Slutkunden aktivt har skapat ett Zizr ID och är inloggad hos den handlare som Slutkunden besöker. I så fall har Slutkunden samtyckt till denna användning enligt användarvillkoren för Zizr ID.

3. Uppgifter vi samlar in

Vi begär endast de Shopify-behörigheter (scopes) som är nödvändiga för de avtalade funktionerna. Beroende på vilka funktioner handlaren aktiverar kan vi ta emot och behandla:

Order- och transaktionsdata. Orderidentifierare, orderrader, SKU och produktidentifierare, varumärke, modell, stil, pris, skatter, rabatter, valuta, antal, leverans- och returstatus samt tidsstämplar.

Kunddata från Shopify (begränsade). Namn, e-postadress (eller hashad e-postadress), telefonnummer, leverans- och faktureringsadresser (på lands- och regionnivå där det krävs), Shopifys kundidentifierare.

Produkt- och storleksdata. Produkttitlar och produktbeskrivningar, variant- och storleksattribut, bilder och URL:er, kategorimetadata.

Beteende- och funktionssignaler (FitBack och användning). Visade och valda storleksrekommendationer, interaktioner där varor läggs i varukorgen, returorsakskoder, återkoppling om passform, interaktioner med widget och app, tidsstämplar samt metadata om enhet och webbläsare. IP-adresser behandlas tillfälligt för att leverera widgeten och för säkerhetsändamål. IP-adresser som ingår i trafikloggar lagras i upp till 30 dagar för säkerhetsändamål och raderas därefter.

Handlar- och butiksdata. Butikens namn, domän, kontaktuppgifter, appkonfiguration samt abonnemangs- och faktureringsstatus.

Zizr ID-kontodata (endast om Slutkunden har skapat ett konto). Inloggningsuppgifter (som hanteras av vår identitetsleverantör), angivna passformspreferenser (såsom föredragna storlekar per varumärke eller kategori) och en butiksöverskridande historik som härleds från Slutkundens köp hos handlare där Slutkunden har loggat in med sitt Zizr ID. Den butiksöverskridande historiken omfattar Slutkundens e-postadress och Shopifys kundidentifierare (som används som matchningsnycklar mellan butiker), köpta produkter, priser, inköpsdatum och returstatus. Butiksöverskridande uppgifter samlas in och kombineras först efter att Slutkunden aktivt har skapat Zizr ID-kontot och är inloggad.

Känsliga kategorier. Vi efterfrågar inte särskilda kategorier av personuppgifter enligt definitionen i artikel 9 i GDPR (såsom hälsouppgifter, religiös övertygelse eller biometriska uppgifter som används för entydig identifiering). Om sådana uppgifter oavsiktligt lämnas (till exempel i fritextanteckningar) kommer vi att radera eller minimera dem.

4. Hur vi använder uppgifter (ändamål och rättsliga grunder)

De rättsliga grunderna nedan gäller i första hand EES och Storbritannien enligt GDPR och UK GDPR. I andra regioner gäller motsvarande grunder enligt lokal lag.

För valfria marknadsföringsfunktioner måste handlare säkerställa giltigt samtycke inom EES och i Storbritannien och måste respektera opt-out-val i amerikanska delstater. Zizr tillhandahåller inställningar för att respektera dessa signaler.

5. Automatiserade beslut och profilering

Vi använder automatiserad behandling och profilering för att:

• Generera personliga storleksrekommendationer och relevanspoäng för produkter, på SKU-nivå där det stöds.
• Bygga butiksöverskridande passformsprofiler för Slutkunder som frivilligt har skapat ett Zizr ID-konto. Dessa profiler är kopplade till Slutkundens Zizr ID och kan användas hos de handlare där Slutkunden har loggat in. Slutkunden samtycker till denna butiksöverskridande användning genom att godkänna användarvillkoren för Zizr ID.

Dessa processer utgör inte automatiserat individuellt beslutsfattande i den mening som avses i artikel 22 i GDPR och har inte rättsliga följder eller på liknande sätt betydande verkningar. Storleksrekommendationer är endast vägledande, och Slutkunden har alltid full frihet att välja en annan storlek. Zizr ID-profiler påverkar inte prissättning, tillgång till tjänster eller något annat beslut med rättsliga följder eller betydande personliga verkningar.

Där det krävs kan du invända mot profilering eller begära mänsklig granskning genom att kontakta oss på privacy@zizr.com, eller genom att när som helst radera ditt Zizr ID-konto.

6. Lagring av uppgifter

Vi lagrar personuppgifter endast så länge det är nödvändigt för ändamålen ovan och raderar dem därefter eller avidentifierar dem oåterkalleligt.

Medan appen är installerad. Vi behåller butiksspecifika personuppgifter så länge handlarens abonnemang löper.

Avinstallation eller radering av butik. När vi tar emot Shopifys webhook shop/redact efter att appen har avinstallerats raderar eller anonymiserar vi butiksspecifika personuppgifter inom 30 dagar.

Radering av kund. När vi tar emot customers/redact raderar vi den berörda Slutkundens handlarspecifika personuppgifter inom 30 dagar. Observera att denna webhook inte automatiskt raderar Slutkundens Zizr ID-konto i sig, eftersom det är ett separat förhållande mellan Slutkunden och Zizr. För att radera ett Zizr ID-konto kontaktar Slutkunden Zizr direkt på privacy@zizr.com eller raderar kontot via självbetjäningen i Zizr ID.

Zizr ID-konto. Zizr ID-kontodata lagras så länge Slutkunden behåller kontot. Slutkunden kan när som helst radera sitt Zizr ID, och i så fall raderar eller anonymiserar vi kontodata inom 30 dagar, med förbehåll för lagstadgade lagringsskyldigheter.

Händelse- och loggdata. Säkerhetsloggar och driftstelemetri: normalt 90 till 180 dagar, om de inte behövs för att utreda incidenter.

Modellartefakter och analysdata. Vi kan behålla aggregerade eller avidentifierade resultat (som inte rimligen möjliggör återidentifiering) under längre tid, för att säkerställa modellstabilitet, benchmarking och granskningsbarhet.

Lagstadgade lagringsskyldigheter. Trots vad som anges ovan kan vi behålla vissa transaktions- och faktureringsunderlag under längre tid när det krävs enligt tillämplig lag. Norsk bokföringslagstiftning (bokføringsloven) kräver att räkenskapsinformation bevaras i minst fem år. Under denna tid lagras sådana underlag på ett säkert sätt och används inte för något annat ändamål än att fullgöra den aktuella rättsliga förpliktelsen.

Standardmål för lagringstider (illustrativa):

7. Delning av uppgifter och underbiträden

Vi delar personuppgifter endast med:

Underbiträden och tjänsteleverantörer. Molndrift, databaser, analys, loggning och övervakning, supportverktyg, e-postleverantörer och liknande leverantörer. Dessa leverantörer agerar enligt avtal och följer säkerhetskrav som i allt väsentligt motsvarar kraven i vårt Biträdesavtal.

Handlaren (personuppgiftsansvarig). Rapporter, översiktspaneler och uppgifter som behövs för att driva appen.

Myndigheter. När det krävs enligt lag.

Vi säljer inte personlig information. Om en valfri marknadsföringsintegration skulle kunna anses utgöra ”delning” för kontextöverskridande beteendebaserad annonsering enligt CPRA eller liknande amerikanska delstatslagar tillhandahåller vi de opt-out-mekanismer som krävs och respekterar signaler från Global Privacy Control (GPC).

Nuvarande underbiträden

OpenAI-inferens som utförs via Azure OpenAI Service behandlas inom vår klientorganisation (tenant) i Microsoft Azure och utgör inte en separat överföring till OpenAI Inc.

Denna förteckning över underbiträden uppdateras med jämna mellanrum. Väsentliga tillägg eller byten kommer att meddelas handlare genom meddelande i appen eller via e-post till handlarnas administratörer med minst 15 dagars varsel, och under den tiden kan en handlare invända på skäliga dataskyddsgrunder i enlighet med vårt Biträdesavtal.

Företagsöverlåtelser

Om Zizr AS berörs av en fusion, ett förvärv, en försäljning av tillgångar eller en liknande bolagstransaktion kan personuppgifter överföras till det förvärvande bolaget som en del av transaktionen. Vi kommer att lämna meddelande i appen eller via e-post till handlarnas administratörer, om personuppgifter till följd av detta kommer att omfattas av en väsentligt annorlunda integritetspolicy.

8. Överföringar till tredjeland

Vår primära infrastruktur driftas inom Europeiska ekonomiska samarbetsområdet. Våra underbiträden för moln, nätverk, loggning och analys behandlar personuppgifter inom EES.

För de underbiträden som behandlar personuppgifter utanför EES (Postmark, HubSpot, Google) förlitar vi oss på Europeiska kommissionens standardavtalsklausuler (modul 2 eller modul 3, beroende på vad som är tillämpligt), kompletterade med:

• Kryptering under överföring och i vila.
• Pseudonymisering av identifierare där det är praktiskt möjligt.
• Konsekvensbedömningar av överföringar (Transfer Impact Assessment, TIA) som dokumenteras i våra interna register.
• Avtalsförpliktelser för underbiträden som i allt väsentligt motsvarar dem vi har gentemot handlare.

För överföringar till Storbritannien använder vi UK International Data Transfer Addendum eller UK IDTA, i tillämpliga fall. Ytterligare information finns i vårt Biträdesavtal.

9. Säkerhet

Vi genomför administrativa, tekniska och organisatoriska skyddsåtgärder, bland annat:

• Kryptering under överföring (TLS 1.2 eller senare) och i vila (AES-256 eller motsvarande).
• Nätverkssegregering och åtkomst enligt principen om lägsta behörighet.
• Pseudonymisering, såsom hashning av identifierare, där det är praktiskt möjligt.
• Sårbarhetshantering, loggning och övervakning.
• Sekretessåtaganden för anställda och återkommande utbildning i dataskydd och säkerhet.
• Due diligence-granskning av leverantörer och avtalsmässiga kontroller för alla underbiträden.

Ingen metod är hundra procent säker. Vi upprätthåller och förbättrar våra kontroller i linje med branschpraxis och kraven i Shopifys program för skyddade kunduppgifter.

Underrättelse om personuppgiftsincidenter

Vid en personuppgiftsincident som påverkar personuppgifter som vi behandlar för en handlares räkning kommer vi att underrätta den berörda handlaren utan onödigt dröjsmål, och under alla omständigheter inom 72 timmar efter att vi har fått kännedom om personuppgiftsincidenten, och tillhandahålla den information som rimligen är nödvändig för att handlaren ska kunna fullgöra sina egna anmälningsskyldigheter enligt tillämplig lag (till exempel artiklarna 33 och 34 i GDPR). Vi kommer att bistå handlaren med att begränsa personuppgiftsincidentens verkningar och med att fullgöra eventuella skyldigheter att underrätta tillsynsmyndigheter eller berörda personer. Vår rutin för incidenthantering (bilaga till Biträdesavtalet) anger tidsfristerna för och innehållet i underrättelser om personuppgiftsincidenter.

10. Dina integritetsrättigheter

Beroende på var du befinner dig och på din relation till Zizr kan du ha rätt att få tillgång till, rätta och radera dina uppgifter, invända mot eller begränsa behandlingen, få dina uppgifter överförda (dataportabilitet), återkalla samtycke och inte bli föremål för vissa automatiserade beslut. Hur du utövar dessa rättigheter beror på din relation till Zizr.

Om du är en Slutkund utan Zizr ID. Handlaren är personuppgiftsansvarig för dina personuppgifter. Rikta din begäran om utövande av rättigheter till handlaren, som kan vidarebefordra den till oss via Shopifys integritetswebhookar (customers/data_request och customers/redact). Vi kommer att svara inom de tidsfrister som krävs enligt tillämplig lag, och under alla omständigheter inom 30 dagar från det att vi har mottagit den validerade begäran från handlaren.

Om du är en Slutkund med ett Zizr ID-konto. Du kan skicka en begäran om utövande av rättigheter direkt till Zizr på privacy@zizr.com. Zizr är personuppgiftsansvarig för dina Zizr ID-kontodata och kommer att svara inom de tidsfrister som krävs enligt tillämplig lag.

Om du är en handlare som driver en Shopify-butik som använder Zizr. Du kan skicka en begäran om utövande av rättigheter direkt till Zizr på privacy@zizr.com.

Begäranden direkt till Zizr. När Zizr agerar som självständigt personuppgiftsansvarig (till exempel för säkerhet, förbättring av algoritmer eller Zizr ID-konton) kan du kontakta oss direkt på privacy@zizr.com.

Om du befinner dig inom EES, i Storbritannien eller i Schweiz har du också rätt att lämna in ett klagomål till din lokala dataskyddsmyndighet. I Norge är tillsynsmyndigheten Datatilsynet (datatilsynet.no). Om du befinner dig i ett annat land kan du kontakta din lokala myndighet.

11. Information enligt CPRA och amerikanska delstaters integritetslagar

För personer som är bosatta i Kalifornien och andra amerikanska delstater med heltäckande integritetslagar (inklusive men inte begränsat till Colorado, Connecticut, Virginia, Utah, Texas, Oregon och Montana) gäller följande:

• Vi behandlar de kategorier av personlig information som beskrivs i avsnitt 3 för de ändamål som anges i avsnitt 4.
• Vi säljer inte personlig information för pengar.
• Om en valfri funktion utgör ”delning” för kontextöverskridande beteendebaserad annonsering enligt CPRA eller liknande begrepp i andra delstatslagar kan du avböja detta genom att skicka e-post till privacy@zizr.com med ämnesraden ”Privacy Opt-Out”, eller via sidan för opt-out från datadelning i handlarens webbutik där en sådan finns. Vi respekterar signaler från Global Privacy Control (GPC).
• Du kan begära tillgång, radering och rättelse samt begränsning av användningen och utlämnandet av känslig personlig information (om sådan finns). Se avsnitt 10 för hur du skickar en begäran.
• Vi samlar inte medvetet in och behandlar inte medvetet personlig information om konsumenter under 16 år utan det samtycke som krävs enligt lag.

12. Cookies och SDK:er i webbutiker

Om handlaren aktiverar Zizrs widgetar eller SDK:er i webbutiken kan vi använda följande kategorier av cookies, lokal lagring och liknande tekniker på Slutkundens enhet:

Strikt nödvändiga. Krävs för att widgeten ska fungera, inklusive sessionshantering, bevarande av passformsprofilen inom samma handlarkontext och lagring av preferenser. Dessa kräver inte samtycke enligt reglerna i EES och Storbritannien.

Analys (valfritt). Används för att mäta widgetens prestanda och förbättra rekommendationerna, endast om handlaren aktiverar denna funktion och samtycke har inhämtats där det krävs.

Marknadsföring (valfritt). Används för målgruppssegmentering och personligt anpassade meddelanden, endast om handlaren aktiverar marknadsföringsfunktioner och samtycke har inhämtats där det krävs.

Närmare uppgifter om cookienamn, leverantörer och lagringstider görs tillgängliga för handlare och Slutkunder via handlarens cookiebanner eller plattform för samtyckeshantering.

Inom EES och i Storbritannien måste handlare visa en samtyckesmekanism som uppfyller kraven innan några icke nödvändiga cookies aktiveras. Vi tillhandahåller konfigurationsalternativ för att respektera samtyckesramverk och regionala krav, och vi integrerar med Shopifys Customer Privacy API där det stöds.

13. Barns uppgifter

Våra tjänster riktar sig inte till barn under 13 år, eller under den tillämpliga lokala åldersgränsen om den är högre (till exempel 16 år i vissa EES-stater). Vi behandlar uppgifter om köpare eller vårdnadshavare. Om vi får kännedom om att vi oavsiktligt har samlat in personuppgifter om barn kommer vi att radera dem.

14. Handlarens ansvar

Som handlare som installerar Zizr förblir du ansvarig för följande:

• Att tillhandahålla ett tydligt integritetsmeddelande i webbutiken som förklarar användningen av Zizr och vilka uppgifter som delas med oss.
• Att inhämta och hantera samtycken och opt-out-val när det krävs enligt tillämplig lag, inklusive cookiesamtycke inom EES och Storbritannien samt opt-out på delstatsnivå i USA.
• Att konfigurera Zizrs funktioner i enlighet med din rättsliga grund. Till exempel genom att aktivera valfria marknadsföringsmoduler endast när du har giltigt samtycke eller opt-out-funktioner.
• Att underrätta oss om begäranden från registrerade eller rättsliga bevarandekrav (legal holds) i förekommande fall.
• Att granska och godkänna vårt personuppgiftsbiträdesavtal som en del av installationen av appen.

15. Webhookar som Shopify kräver

Vi prenumererar på och respekterar följande integritetswebhookar från Shopify:

• customers/data_request för att tillhandahålla handlaren Slutkundens uppgifter inom 30 dagar.
• customers/redact för att radera en enskild Slutkunds personuppgifter inom 30 dagar.
• shop/redact för att radera butiksspecifika personuppgifter inom 30 dagar efter avinstallation.

Vi följer dessa tidsfrister, eller agerar snabbare när det krävs enligt lag. Vi raderar även med jämna mellanrum testbutiker och utvecklingsdata.

16. Ändringar av denna policy

Vi kan uppdatera denna policy för att återspegla operativa, rättsliga eller regulatoriska förändringar. Vi kommer att publicera uppdateringar här med ett reviderat datum under ”Senast uppdaterad”. Väsentliga ändringar kommer att meddelas genom meddelande i appen eller via e-post till handlarnas administratörer minst 15 dagar innan de börjar gälla.

17. Kontakt

Zizr AS

Dronningens gate 38
7011 Trondheim
Norge
Organisationsnummer: 922 796 556

Allmän kontakt: contact@zizr.com
Kontakt i integritetsfrågor: privacy@zizr.com
Integritetsansvarig: Petter Hellevik, CEO

Dataskyddsombud. Zizr har inte formellt utsett något dataskyddsombud enligt artikel 37 i GDPR, eftersom vår nuvarande kärnverksamhet inte kräver det. Petter Hellevik är vår interna integritetsansvarige och den främsta kontaktpersonen för frågor om integritet och dataskydd.

Tillsynsmyndighet. Om du befinner dig inom EES, i Storbritannien eller i Schweiz kan du lämna in ett klagomål till din lokala dataskyddsmyndighet. I Norge är tillsynsmyndigheten Datatilsynet (datatilsynet.no).